CVE-2026-73993: Kritische PHP Object Injection in FundEngine

Zusammenfassung

FundEngine in Versionen bis einschließlich 1.7.9 enthält eine kritische Sicherheitslücke, die eine unauthentifizierte PHP Object Injection ermöglicht. Die Schwachstelle ermöglicht es Angreifern, beliebige PHP-Objekte zu deserialisieren und dadurch Remote Code Execution (RCE) zu erlangen. Mit einem CVSS-Score von 9.8 stellt diese Vulnerability eine unmittelbare und kritische Bedrohung dar.

Betroffene Systeme

Folgende Versionen sind betroffen:

• FundEngine <= 1.7.9
• Alle Betriebssysteme und Plattformen, auf denen FundEngine läuft

Besonders gefährlich ist die fehlende Authentifizierung – die Lücke ist über das Netzwerk ohne Anmeldedaten ausnutzbar.

Technische Details

Die Vulnerability liegt in der unsicheren Deserialisierung von Benutzereingaben. FundEngine verarbeitet PHP-serialisierte Objekte ohne ausreichende Validierung oder Whitelisting. Ein Angreifer kann manipulierte Objekte senden, die während des Deserialisierungsprozesses Magic Methods (__wakeup, __destruct, etc.) ausführen.

Dies ermöglicht Gadget-Chain-Attacken, bei denen durch geschickte Verkettung von bestehenden Klassen beliebiger Code ausgeführt wird. Der Angriffsvektor ist netzwerkbasiert und erfordert keine Authentifizierung.

Empfohlene Massnahmen

• Sofortiges Update: Ein Patch ist derzeit nicht verfügbar. Kontaktieren Sie den Entwickler für Security-Updates.
• WAF-Regeln: Implementieren Sie Web Application Firewall-Regeln zur Blockierung verdächtiger serialisierter Objekte.
• Netzwerk-Segmentierung: Begrenzen Sie Zugriffe auf FundEngine-Instanzen.
• Monitoring: Überwachen Sie Logs auf ungewöhnliche Deserialisierungsaktivitäten.

Bewertung